진단 매트릭스: 안티치트 드라이버 구조, 코드 서명 규격 및 시스템 장악 위험도
MMO 사설 서버나 비공식 프리섭 클라이언트를 이용할 때 '전용 안티치트 드라이버(.sys)' 설치를 요구받는 경우가 많습니다. 대작 게임(EAC, 배틀아이, 뱅가드 등)이 커널 권한(Ring 0)을 사용하는 것에 익숙해진 게이머들의 방심을 틈타, 악성 해커들이 **커널 레벨 루트킷(Rootkit)**을 심거나 BYOVD(취약한 정상 드라이버 악용) 기법으로 유저의 PC를 완전히 장악하는 수법이 기승을 부리고 있습니다.
| 드라이버 아키텍처 | OS 권한 레벨 | 코드 서명 요구 조건 | 주요 취약점 악용 벡터 | 유저 PC에 미치는 위험도 |
|---|---|---|---|---|
| 정식 상용 안티치트 (Vanguard, EAC, BE) | Ring 0 (최고 커널 모드) | 마이크로소프트 WHQL 하드웨어 인증 + 공인 EV 서명 | 매우 드문 제로데이 취약점 | 보안 업계의 지속적 모니터링 및 패치 적용 |
| 사설 서버 독자 제작 드라이버 | Ring 0 (최고 커널 모드) | 사설 인증서; 유저에게 테스트 모드 강제 요구 | 무제한 커널 메모리 조작, 키로깅 백도어 | 치명적 (PC가 완벽한 좀비 PC로 전락) |
| BYOVD 공격형 악성코드 | 취약한 구형 드라이버로 Ring 0 탈취 | 수년 전 발급된 정상 대기업 서명 (예: 구형 캡콤 드라이버) | 알려진 CVE 취약점을 이용해 윈도우 DSE 서명 검증 우회 | 치명적: 윈도우 디펜더를 커널 레벨에서 강제 무력화 |
| 유저 모드 안티치트 | Ring 3 (일반 앱 권한) | 일반 소프트웨어 응용프로그램 서명 | 게임 프로세스 메모리 검사로 한정 | 매우 낮음 (OS 핵심 보안 영역 침범 불가) |
BYOVD (Bring Your Own Vulnerable Driver) 공격의 동작 원리
공격자는 수천 달러의 비싼 MS 공인 인증서 없이 어떻게 커널 권한을 탈취하는가?
- 윈도우는 DSE (드라이버 서명 시행) 보호 기능으로 서명 없는 불법 드라이버 로드를 차단합니다;
- 해커는 수년 전 유명 게임사나 유틸리티가 정상 서명받았으나 심각한 임의 메모리 쓰기 취약점(CVE)이 발견된 구형 드라이버를 클라이언트에 몰래 동봉합니다;
- 윈도우는 유효한 정상 서명으로 인식하여 Ring 0 커널 영역에 아무런 경고 없이 드라이버를 로드합니다;
- 악성 프로그램은 이 구형 드라이버의 백도어 취약점을 찔러 윈도우 디펜더 프로세스를 커널 상에서 즉시 종료시키고, 재부팅해도 백신에 걸리지 않는 영구 루트킷을 심습니다.
사설 서버 클라이언트 실행 전 필수 보안 수칙
1단계: 드라이버 서명 강제 해제 명령 절대 금지
- 설치 안내문에서 관리자 권한 명령 프롬프트(CMD)에 다음 명령어를 입력하라고 유도할 경우 즉시 설치를 중단하고 파일을 삭제하십시오:
bcdedit /set nointegritychecks onbcdedit /set testsigning on - 이 명령어는 윈도우의 커널 방어막을 완전히 해제하여 서명 없는 모든 악성코드를 부팅 시 무방비로 로드하게 만듭니다.
2단계: 윈도우 '메모리 무결성(HVCI)' 활성화
- 'Windows 보안' -> 장치 보안으로 이동합니다;
- 코어 격리 세부 정보를 클릭합니다;
- 메모리 무결성 (Memory Integrity) 옵션을 켬(ON) 으로 활성화합니다. 하드웨어 가상화 기술을 사용해 취약한 블랙리스트 드라이버의 로드를 차단합니다.
3단계: 마이크로소프트 Sigcheck로 드라이버 서명 검증
- MS 공식 Sysinternals
Sigcheck툴을 다운로드합니다; sigcheck64.exe -h -v [드라이버파일명.sys]명령어를 실행하여 서명 주체가 신뢰할 수 있는 기관인지 확인합니다.